All-In-One Security vs. Kakapo Security: баллы или доказательства?

All-In-One Security — популярный бесплатный плагин безопасности с системой баллов: каждая включённая мера повышает оценку безопасности. Это мотивирует — и подталкивает щёлкать переключателями, действия которых не знаешь.

Коротко

AIOS охватывает защиту входа, усиление защиты, простой файрвол и изменения файлов, он бесплатен и легко доступен. Счёт баллов делает прогресс видимым, но ничего не говорит о том, какая мера сколько даёт.

Kakapo Security обходится без баллов и делает ставку на прозрачность: 40 шаблонов файрвола и 22 шаблона поиска лежат в поставляемом исходном коде, а к ним — список подходов, которые по результатам измерений давали слишком много ложных срабатываний. Журнал активности связан в цепочку, и она рассчитывается с использованием значения из wp-config.php.

Чем они различаются

Почему без баллов

Система баллов предполагает, что меры можно складывать. Но это не так: своевременные обновления и второй фактор вместе дают больше, чем дюжина мелких переключателей усиления защиты, — а в системе баллов всё это считается одинаково.

Хуже второй эффект: кто стремится к 100 баллам, включает и то, что на его сайте даёт побочные эффекты. Переключатель, который приносит один балл и ломает конструктор страниц, — плохая сделка.

Если пользуешься инструментом с баллами: не включай ничего, действие чего не можешь объяснить одним предложением. Счёт баллов — не цель.

Когда All-In-One Security — лучший выбор

• Ты хочешь начать бесплатно
• Тебе нравится пошаговая настройка с видимым прогрессом
• Тебе нужны только защита входа и базовое усиление защиты

Когда Kakapo Security — лучший выбор

• Ты хочешь сам прочитать, что именно ищется
• Тебе нужен журнал, по которому видно, если его задним числом изменили
• Ничего не должно уходить во внешний сервис безопасности
• Ты обслуживаешь несколько сайтов по одной лицензии

Переход: что нужно сделать

1. Запиши перенесённый адрес входа, если он задан, — иначе заблокируешь сам себя.
2. Посмотри, какие правила были записаны в .htaccess: плагины безопасности любят оставлять там свои блоки.
3. Установи Kakapo Security и введи лицензионный ключ.
4. Сначала переведи файрвол в режим «Наблюдать» (по-немецки: „Beobachten“) и дай ему поработать неделю.
5. Зафиксируй эталонное состояние файлов, пока сайт заведомо чист.
6. Отключи старый плагин, затем переключи режим на «Блокировать» (по-немецки: „Blockieren“).

Чего не заменяет ни один из двух

Плагин безопасности — это один слой, а не крыша. Три вещи остаются твоей задачей, и на практике они предотвращают больше инцидентов, чем любая настройка файрвола.

• Обновления. Подавляющее большинство успешных взломов использует уязвимости, для которых давно вышло обновление.
• Резервные копии. Только они имеют значение после инцидента — и только они помогут и тогда, когда тебя вовсе не атаковали, а ты просто что-то сломал.
• Порядок в доступах. Каждый доступ, который больше никому не нужен, — это дверь, за которой больше никто не следит.

Эти три вещи не стоят ни денег, ни особых знаний. У кого они есть, тот многое выигрывает, добавив плагин безопасности. У кого их нет, тот покупает с плагином прежде всего ощущение большей защищённости.

Где Kakapo Security намеренно ничего не делает

Чтобы ожидания совпадали с реальностью, вот границы открытым текстом: двухфакторный вход отправляет коды по e-mail, приложение-аутентификатор не поддерживается. Регулярно обновляемой базы сигнатур вредоносного кода нет — сканирование ищет шаблоны, а не известных вредоносов по именам. А сверка уязвимостей хотя и принимает адрес источника, но по умолчанию ни одного источника не содержит. К тому же файрвол работает внутри WordPress, а не перед ним: атаку, которая перегружает сервер, PHP-плагин не перехватит — какой бы это ни был плагин.

Вместо этого он делает то, что чётко очерчено и поддаётся проверке: распознаёт шаблоны и отклоняет совпадения, сверяет файлы ядра с контрольными суммами api.wordpress.org, замечает изменения в файлах и записывает каждое решение в цепочку, которую задним числом нельзя незаметно изменить. Кому нужны эти четыре пункта, тот по адресу. Кому нужна база сигнатур — нет.

Проверяй у любого плагина безопасности, где находится файрвол. Перед сервером он надёжнее при перегрузке, внутри WordPress — точнее при запросах к самому WordPress. И то и другое одновременно бывает, только если хостинг-провайдер идёт навстречу.

Часто задаваемые вопросы